能否通过ARM模板管控Azure Purview部署时创建的托管资源？

核心结论 #

目前通过ARM模板无法直接管控Azure Purview自动创建的托管资源（存储账户、Event Hub）的部署与否或网络配置。这些资源是Purview服务运行的核心依赖组件，由Azure平台自动创建和管理，用户无法在部署模板中跳过Event Hub部署，也不能直接在模板内配置存储账户的公网/私网连接规则。

具体限制说明 #

• 强制依赖的托管资源：Event Hub用于消息队列流转、存储账户用于数据缓存与日志存储，二者都是Purview服务正常运行的必备组件，平台会自动完成部署，不支持通过ARM模板选择不部署其中任何一个。
• 网络配置的独立性：你当前模板中设置的publicNetworkAccess仅控制Purview门户自身的公网访问权限，无法传递给托管资源组内的存储账户或Event Hub。这些托管资源的网络策略（比如禁用公网、配置私网访问）只能在Purview部署完成后，通过Azure门户、后续ARM模板或CLI命令单独修改。

现有可扩展配置项 #

你当前模板仅配置了managedResourceGroupName和publicNetworkAccess，还可以添加以下Purview自身的配置项，但依然无法触及托管资源：

"properties": {
    "publicNetworkAccess": "Enabled",
    "managedResourceGroupName": "[format('managed-rg-{0}', parameters('purviewName'))]",
    "networkAcls": {
        "defaultAction": "Allow",
        "ipRules": [
            {
                "value": "192.168.1.0/24",
                "action": "Allow"
            }
        ]
    },
    "accountEncryption": {
        "keyVaultProperties": {
            "keyUri": "[parameters('keyVaultKeyUri')]"
        },
        "identity": {
            "userAssignedIdentity": "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', parameters('userAssignedIdentityName'))]"
        }
    }
}

替代解决方案 #

如果需要管控托管资源的网络配置，可以在Purview部署完成后执行以下操作：

• 禁用存储账户公网访问：通过ARM模板或Azure CLI，针对托管资源组内的存储账户设置publicNetworkAccess为Disabled，并配置私有端点。
• 配置Event Hub私网访问：为托管资源组内的Event Hub创建私有端点，限制其仅允许内网访问。

这些后续操作可以编写成独立的ARM模板，或通过Azure DevOps流水线等工具自动化执行，实现部署后的批量配置。

内容的提问来源于stack exchange，提问作者javadev